DPO in pratica: il coordinamento con gli operatori tra formazione e informazione del personale aziendale

Il GDPR richiede^[1] che l’organizzazione sappia coinvolgere adeguatamente il Responsabile della protezione dei dati (o DPO, Data Protection Officer) collocandolo all’interno di tutti i processi che possono avere una rilevanza nei confronti delle attività di trattamento di dati personali svolte.

L’attenzione a tale riguardo deve essere posta già a partire dalla fase di selezione del soggetto da designare, andando a prevedere un’integrazione effettiva della funzione.

Successivamente, è necessario che avvenga un monitoraggio allo scopo di applicare i necessari correttivi per preservare l’adeguatezza della posizione nel tempo.

DPO in pratica: il rapporto con la direzione tra comunicazione e autonomia decisionale

L’integrazione del DPO nell’organizzazione

La norma prevede espressamente^[2] che la designazione del DPO avvenga non solamente in funzione delle conoscenze specialistiche in materia di protezione dei dati personali ma anche e soprattutto della capacità di dare esecuzione al catalogo dei compiti indicati all’interno dell’art. 39 GDPR.

Questo requisito si collega alle qualità personali possedute dal soggetto designato nonché al suo collocamento all’interno dell’assetto organizzativo entro cui dovrà agire.

Il primo aspetto può essere assolto, seguendo un esempio indicato dall’EDPB^[3], adottando come criterio di selezione e successiva verifica nel corso dell’attività il seguire determinati standard deontologici e il possedere un’integrità nel perseguimento dell’osservanza della norma.

Il secondo aspetto richiede invece che nella fase di designazione e successivamente siano seguiti i criteri che emergono direttamente dalle indicazioni dell’art. 38 GDPR, per cui l’organizzazione deve garantire:

1. il coinvolgimento all’interno delle questioni riguardanti la protezione dei dati personali, con particolare riferimento al principio di protezione dei dati sin dalla progettazione dei trattamenti;
2. di tenere in considerazione il parere del DPO, andando soprattutto a motivare scelte divergenti rispetto alle sue indicazioni;
3. le dotazioni in termini di risorse e supporto da parte della Direzione per l’esercizio della funzione;
4. la formazione continua su tematiche relative alla protezione dei dati personali;
5. l’indipendenza funzionale, con particolare riguardo all’assenza di ostacoli o penalizzazioni per l’esercizio dei compiti;
6. l’assenza di conflitto di interessi qualora siano eventualmente attribuiti ulteriori compiti o funzioni.

La ricerca degli elementi di riscontro per verificare il grado di conformità ai criteri indicati deve innanzitutto avvenire facendo riferimento all’incarico o alle mansioni assegnate, per le rispettive ipotesi di designazione di un DPO esterno o altrimenti interno.

All’esito di questa prima analisi possono essere oggetto di valutazione i correttivi da applicare in fase operativa per consentire un efficace svolgimento dei compiti. Entrando più nel dettaglio, l’elemento del coinvolgimento deve essere oggetto di dimostrazione da parte dell’organizzazione facendo ricorso ad evidenze che devono emergere dal sistema di gestione adottato.

Alcuni esempi in tal senso possono essere un organigramma privacy, una matrice RACI, la mappatura dei flussi informativi o la modulistica in cui è richiamato il ruolo dell’ufficio del DPO.

Il grado di approfondimento per la predisposizione e il controllo dei presidi viene rimesso alla decisione dell’organizzazione in ossequio al principio di accountability trovando così una regolazione secondo natura, ambito, contesto, finalità e rischi dei trattamenti con una coerenza logica, sistematica e funzionale fra politiche, procedure e istruzioni operative che definiscono ruoli e responsabilità.

Nel momento in cui le verifiche transitano dal piano meramente documentale a quello operativo, è bene tenere conto di una serie di ulteriori fattori per valutare l’efficace attuazione di quanto è stato predisposto.

Ad esempio, è comune dedicare attenzione all’elemento del tempo in relazione alle comunicazioni che coinvolgono l’ufficio del DPO, al carico di lavoro assegnato e ai passaggi relativi ad una procedura interna.

Diventa necessario verificare che il coordinamento della funzione con gli operatori non sia solamente formale ma effettivo, soprattutto in relazione ai compiti di consulenza, informazione e sorveglianza. Le informazioni documentate da ricercare riguardano di conseguenza tutte le evidenze necessarie a valutare tanto il parametro di efficacia che di efficienza dell’integrazione del DPO all’interno dell’assetto organizzativo.

Consulenza e informazione verso gli operatori

I compiti del DPO di consulenza e informazione^[4] devono essere diretti non solo nei confronti dei vertici dell’organizzazione bensì anche nei confronti di tutti gli operatori che hanno accesso ai dati personali e sono stati autorizzati a svolgere le operazioni di trattamento.

Realizzare correttamente tali attività fornisce un contributo essenziale per il raggiungimento degli obiettivi di sensibilizzazione tanto in merito agli obblighi normativi quanto alle best practices di sicurezza, nonché ha l’effetto di rafforzare l’efficacia degli adempimenti relativi agli obblighi di istruzione e formazione del personale.

In questo ambito è importante che le capacità comunicative del DPO o del suo ufficio incontrino il supporto attivo da parte del management sia in fase di progettazione che nella successiva fase operativa. Il presupposto fondamentale per consentire lo svolgimento di tali compiti è infatti che tutto il personale sia innanzitutto consapevole del ruolo e dei compiti del DPO e della possibilità di formulare delle richieste.

Dal momento che il dato di contatto del DPO è già diffuso per effetto degli adempimenti informativi e di trasparenza svolti nei confronti dei lavoratori^[5], l’elemento della consapevolezza circa funzioni, compiti e possibilità di prendere contatto deve essere oggetto di una misura dedicata a tal scopo.

Le modalità di realizzazione dipendono dal sistema di gestione adottato e possono variare per complessità spaziando dalla semplice comunicazione interna (ad esempio con una circolare), ad una sessione formativa o informativa o altrimenti con la redazione di una procedura dedicata.

Allo stesso modo, la somministrazione della consulenza e informazione nei confronti degli operatori incontra diverse soluzioni possibili per la sua attuazione.

Pertanto, occorre che il DPO sia in grado di valutare il migliore intervento che può svolgere a partire dalla segnalazione, dal contatto o dallo spunto ricevuto dall’operatore, pur restando entro i limiti propri della funzione, quale può ad esempio essere:

1. una risposta individuale;
2. un intervento di chiarimento generale rivolto alla generalità degli operatori o altrimenti all’interno di un determinato ufficio, settore o area;
3. la rilevazione dell’esigenza di riesaminare un regolamento, una procedura o un’istruzione operativa;
4. un’interlocuzione diretta con la direzione per la segnalazione di rischi, pericoli o non conformità.

Per quanto riguarda gli interventi di formazione e sensibilizzazione, svolgere un compito in tal senso non è idoneo a generare un conflitto d’interessi con il ruolo del DPO e anzi da pratiche diffuse diffuso in ambito pubblico e privato è previsto che all’interno dell’incarico si inseriscano anche delle ore dedicate alla formazione degli operatori.

Un intervento formativo o di addestramento in relazione ad una o più procedure svolto dal DPO può costituire un’occasione utile per facilitarne l’integrazione all’interno dell’organizzazione e fornire inoltre un’opportunità di confronto diretto con la funzione a tutti gli operatori per ricevere chiarimenti e precisazioni.

Il controllo degli adempimenti

Le occasioni di più frequente confronto fra DPO e operatori avvengono in occasione dello svolgimento dell’attività di audit e, più in generale, nell’attuazione del programma di sorveglianza degli adempimenti dell’organizzazione in relazione agli obblighi derivanti dalla normativa in materia di protezione dei dati personali.

Nel processo di audit l’operatore reagisce rispetto alla conduzione del DPO in quanto soggetto intervistato e consente così il riscontro delle evidenze relative, ad esempio, alla presenza di prassi interne, alla consapevolezza circa le minacce, all’istruzione circa le best practices o altrimenti alla corretta diffusione di istruzioni operative e procedure.

In un più ampio quadro di sorveglianza della compliance GDPR, invece, l’operatore può agire anche di propria iniziativa con un ampio spettro di realizzazione a seconda dell’impostazione dei flussi informativi che possono spaziare dalla segnalazione interna al DPO alla partecipazione a gruppi di lavoro.

L’azione sinergica dell’operatore con il DPO o il suo ufficio può essere esplicata efficacemente solamente avendo previa definizione del riparto dei ruoli e delle responsabilità, nonché soprattutto la corretta impostazione di rapporti e gerarchie.

Occorre in tal senso che la funzione del DPO sia chiara, percepita come integrata all’interno dell’organizzazione ed è opportuno che sia in grado di svolgere i propri compiti coerentemente con gli spunti che si possono trarre dalla norma ISO 19011:2018 “Linee guida per audit di sistemi di gestione” soprattutto nella parte della capacità di saper instaurare interazioni collaborative.

I fattori che rilevano sono di natura oggettiva e soggettiva: è richiesta una continuità di azione e non una sua occasionalità, nonché l’adozione di un corretto approccio nei confronti dell’organizzazione nel suo complesso e degli operatori che faciliti la comunicazione e possa prevenire e risolvere eventuali conflitti^[6].

Le qualità personali del DPO nella gestione delle interlocuzioni con gli operatori sono significative nelle attività correlate al controllo degli adempimenti, al fine di evitare che le valutazioni possano incontrare condizionamenti o che ancor peggio gli operatori vengano influenzati nel fornire determinati riscontri per timore di subire valutazioni negative o un giudizio.

Dal momento che la raccolta delle informazioni e le relative valutazioni devono comunque essere l’output di un processo di valutazione indipendente fondato su evidenze oggettive, è responsabilità del DPO svolgere i propri compiti – pur con la collaborazione e il supporto della direzione – in modo tale da evitare tutti quei condizionamenti che possano alterarne il buon esito.

Il rapporto con i referenti interni

Non è infrequente che un’organizzazione faccia ricorso alla misura organizzativa della designazione di uno o più referenti interni, ovverosia soggetti cui sono attribuiti specifici compiti e funzioni^[7] nell’organigramma privacy.

Questo può avvenire sia per le aree particolarmente sensibili dell’organizzazione quali ad esempio le Risorse Umane o l’Ufficio IT, sia per un punto di riferimento per la gestione degli adempimenti per l’intera organizzazione o per ciascuno stabilimento o unità operativa.

In questo caso, deve essere cura del DPO impostare correttamente il rapporto con tali soggetti, proponendo anche dei tavoli di confronto o di lavoro per ricevere feedback, fornire indicazioni circa gli obblighi normativi in materia di protezione dei dati personali e monitorare continuamente l’efficace attuazione degli adempimenti.

La capacità di instaurare una cooperazione efficace con i referenti interni dell’organizzazione consente al DPO di distribuire per loro tramite linee guida, chiarimenti ed informazioni generali o altrimenti diretti a taluni settori o ambiti specifici dell’organizzazione, nonché di essere in grado di acquisire più facilmente informazioni sia contando sulla loro cooperazione per la preparazione degli audit sia grazie alla loro posizione per gerarchia e prossimità nei confronti degli operatori.

NOTE

1. Art. 38 par. 1 GDPR. ↑

2. Art. 37 par. 5 GDPR. ↑

3. WP 243 – Linee guida sui Responsabili della Protezione dei Dati. ↑

4. Previsti dall’art. 39 par. 1 lett. a) GDPR. ↑

5. Ai sensi degli artt. 13 e 14 GDPR. ↑

6. Come peraltro indicato dalle Linee guida ISO 19011:2018 al punto 7.2.3.4. ↑

7. Come previsto dall’art. 2-quaterdecies Cod. Privacy. ↑